IOC

Amazon Threat Intelligence a découvert qu’Interlock ransomware exploitait CVE-2026-20131 dans Cisco Secure Firewall Management Center comme zero-day depuis le 26 janvier 2026, soit 36 jours avant la divulgation publique. 🔍 Contexte Le 21 mars 2026, Amazon Threat Intelligence a publié sur le blog de sécurité AWS une analyse technique détaillée d’une campagne active du groupe Interlock ransomware exploitant CVE-2026-20131, une vulnérabilité critique dans Cisco Secure Firewall Management Center (FMC) Software. ...

🌐 Contexte Le 21 mars 2026, The Cyber Express rapporte que le Département de Justice américain (DOJ) a procédé à la saisie de quatre domaines liés à des opérations cyber-psychologiques attribuées au ministère iranien du Renseignement et de la Sécurité (MOIS). 🎯 Domaines saisis Les quatre domaines suivants ont été mis hors ligne : Justicehomeland[.]org Handala-Hack[.]to Karmabelow80[.]org Handala-Redwanted[.]to Ces domaines partageaient une infrastructure commune, notamment des plages d’IP iraniennes et des plateformes de fuite de données. ...

🔍 Contexte Source : BleepingComputer — Publication le 21 mars 2026. Cet article rapporte la saisie par le FBI des domaines clearnet associés au groupe hacktiviste Handala, dans le cadre d’une opération judiciaire liée à une cyberattaque contre Stryker. 🌐 Domaines saisis Les deux domaines suivants affichent désormais un avis de saisie : handala-redwanted[.]to handala-hack[.]to Ces domaines ont été saisis en vertu d’un mandat de saisie délivré par le District Court for the District of Maryland. ...

Le groupe ransomware LeakNet ajoute ClickFix via des sites légitimes compromis et un loader Deno en mémoire comme nouvelles méthodes d’accès initial, tout en conservant une chaîne post-exploitation identique. 🔍 Contexte Publié le 21 mars 2026 par ReliaQuest (auteurs : Joseph Keyes et Daxton Wirth), ce rapport de threat intelligence analyse les évolutions tactiques du groupe ransomware LeakNet, qui intensifie ses opérations en adoptant de nouvelles méthodes d’accès initial. 🎯 Nouvelles méthodes d’accès initial LeakNet a ajouté deux nouvelles techniques à son arsenal : ...

Le groupe iranien MuddyWater a mené en février-mars 2026 une campagne d’espionnage ciblée utilisant deux nouveaux malwares, Dindoor et Fakeset, contre des organisations financières, aéroportuaires et de défense aux États-Unis, en Israël et au Canada. 🌐 Contexte Rapport publié le 20 mars 2026 par Krypt3ia, analysant une campagne d’intrusion conduite entre février et mars 2026 par le groupe iranien MuddyWater (aussi connu sous les alias Seedworm, MERCURY, Static Kitten, MOIST KEYCHAIN, Mango Sandstorm), aligné avec le Ministère du Renseignement et de la Sécurité iranien (MOIS). ...

📰 Contexte Le 13 mars 2026, Navia Benefit Solutions, Inc. a publié un avis officiel de violation de données via PR Newswire, informant ses clients et les personnes concernées d’un incident de sécurité découvert le 23 janvier 2026. 🔍 Déroulement de l’incident Un acteur non autorisé a accédé à l’environnement de Navia et potentiellement exfiltré des données sur une période allant du 22 décembre 2025 au 15 janvier 2026. La découverte de l’activité suspecte a eu lieu le 23 janvier 2026, soit environ 8 jours après la fin de l’accès non autorisé. ...

🔐 Correctif d’urgence Oracle – CVE-2026-21992 Source : BleepingComputer | Date de publication : 21 mars 2026 Oracle a publié une mise à jour de sécurité hors-bande (out-of-band), en dehors de son cycle habituel de correctifs trimestriels, pour adresser une vulnérabilité critique affectant deux de ses produits. 🎯 Produits affectés Oracle Identity Manager Oracle Web Services Manager 🚨 Nature de la vulnérabilité La faille, référencée CVE-2026-21992, est classifiée comme une vulnérabilité d’exécution de code à distance (RCE) non authentifiée, ce qui signifie qu’un attaquant peut l’exploiter sans disposer d’identifiants valides sur le système cible. La criticité de cette faille justifie la publication d’un correctif d’urgence en dehors du calendrier standard. ...

🔍 Contexte Article d’investigation publié par The Guardian le 14 mars 2026, rédigé par Hannah Devlin et Tom Burgis. UK Biobank est une base de données médicales britannique fondée en 2003, détenant les dossiers de santé de 500 000 volontaires britanniques, incluant séquences génomiques, scanners, échantillons sanguins et données de style de vie. 📂 Nature de l’incident Des données de santé confidentielles ont été exposées publiquement en ligne à de nombreuses reprises par des chercheurs ayant accidentellement publié des jeux de données Biobank sur GitHub en même temps que leur code d’analyse. Cette pratique résulte de l’obligation croissante des journaux scientifiques et financeurs de publier le code source des analyses. ...

Trend Micro dissèque une attaque du groupe Warlock combinant mouvement latéral, tunneling multi-outils, BYOVD via NSecKrnl.sys et déploiement de ransomware par GPO. 🔍 Contexte Cet article publié le 21 mars 2026 par Trend Micro Research constitue une analyse technique approfondie d’une campagne d’attaque attribuée au groupe Warlock. Il documente une chaîne d’attaque complète allant de l’accès initial jusqu’au déploiement de ransomware à l’échelle du domaine Active Directory. 🚪 Accès initial et mouvement latéral Suivant l’accès initial, les acteurs de la menace ont réalisé un mouvement latéral extensif via des outils d’administration légitimes et de l’abus de credentials : ...

Selon Socket (socket.dev), une nouvelle attaque de chaîne d’approvisionnement visant l’écosystème Trivy a été détectée à partir d’environ 19:15 UTC, distincte du précédent incident OpenVSX/VS Code. L’attaque cible l’action GitHub officielle aquasecurity/trivy-action et transforme des références de versions largement utilisées en vecteur de distribution d’un infostealer. L’acteur a force-push 75 des 76 tags de version du dépôt aquasecurity/trivy-action afin de les faire pointer vers de nouveaux commits malveillants, tout en conservant une apparence légitime via des métadonnées spoofées. Plus de 10 000 workflows GitHub référencent ces tags, amplifiant le rayon d’impact. Les tags compromis « restent actifs » au moment de la rédaction. Le tag 0.35.0 est le seul non empoisonné, car il pointe déjà vers le commit parent utilisé par l’attaquant (57a97c7e). Des indices de fraude incluent l’absence de signatures GPG d’origine, des dates incohérentes (dates anciennes avec un parent de mars 2026) et des commits ne modifiant que entrypoint.sh. Des « releases immuables » ont été publiées lors du poisonnement, compliquant le rétablissement. Homebrew a déjà amorcé des retours arrière. ...